RGPD pour un courtier en assurance : l’essentiel
Mis à jour le 20 octobre 2026 · Yahia Lhouaoui
Cet article est informatif et ne constitue pas un avis juridique.
Un cabinet de courtage qui tient des fiches clients traite des données personnelles : il est responsable du traitement, car c’est lui qui en détermine les finalités et les moyens. L’éditeur de son CRM traite ces données pour son compte, comme sous-traitant. Quatre points sont à cadrer en premier : les rôles, les bases légales, le registre des traitements et les données de santé.
Responsable du traitement ou sous-traitant ?
Le RGPD distingue deux rôles, et un cabinet qui utilise un CRM se trouve dans le premier.
| Rôle | Définition (RGPD) | Dans un cabinet |
|---|---|---|
| Responsable du traitement | détermine les finalités et les moyens du traitement (article 4.7) | le cabinet |
| Sous-traitant | traite les données pour le compte du responsable (article 4.8) | l’éditeur du CRM |
Entre les deux, un contrat de sous-traitance est obligatoire : son contenu est détaillé dans Contrat de sous-traitance RGPD et CRM.
Sur quelle base légale traiter les données d’un client ?
Tout traitement repose sur une base légale de l’article 6.1 du RGPD. Pour un cabinet, trois d’entre elles sont pertinentes :
- l’exécution du contrat ou des mesures précontractuelles prises à la demande de la personne ;
- une obligation légale à laquelle le cabinet est soumis ;
- l’intérêt légitime du cabinet.
La personne est informée au moment de la collecte de ses données (article 13). Ses droits (accès, rectification, effacement, portabilité) sont présentés dans Droits des clients sur leurs données.
Le registre des activités de traitement
L’article 30 du RGPD prévoit un registre des activités de traitement. Une exemption existe pour les structures de moins de 250 personnes, mais elle ne joue pas, notamment :
- si le traitement n’est pas occasionnel ;
- s’il porte sur des catégories particulières de données (article 9).
Un cabinet qui suit son portefeuille au quotidien a donc intérêt à vérifier, avec son conseil, si cette exemption le concerne vraiment.
Le cas des données de santé
Un dossier d’assurance peut contenir des informations médicales. Pour le RGPD, les données de santé forment une catégorie particulière (article 9) : leur traitement est interdit, sauf exception prévue par ce même article, dont le consentement explicite de la personne.
En pratique, la question à se poser avant de noter une information médicale dans une fiche client est simple : sur quelle exception de l’article 9 ce traitement repose-t-il ?
Où sont hébergées les données d’AssurX ?
Le choix du CRM fait partie des moyens du traitement : le cabinet doit savoir où vont ses données. Chez AssurX, un engagement simple : Données hébergées dans l’Union européenne ; IA européenne, aucun traitement d’IA hors de l’UE.
L’annexe de sous-traitance (article 28) d’AssurX est acceptée avec les conditions générales ; elle est publiée et versionnée : annexe RGPD d’AssurX. Pour la suite de ce guide, voir Conformité FSMA et RGPD.
Questions fréquentes
Le cabinet ou l’éditeur du CRM : qui est responsable du traitement ?
Selon le RGPD (article 4.7), le responsable du traitement est celui qui détermine les finalités et les moyens du traitement : le cabinet. L’éditeur du CRM traite les données pour le compte du cabinet ; il est sous-traitant (article 4.8).
Un petit cabinet doit-il tenir un registre des traitements ?
L’article 30 du RGPD prévoit un registre des activités de traitement. L’exemption prévue pour les structures de moins de 250 personnes ne joue pas, notamment, si le traitement n’est pas occasionnel ou s’il porte sur des catégories particulières de données (article 9), comme les données de santé.
Les données de santé d’un client peuvent-elles figurer dans le dossier ?
Les données de santé sont une catégorie particulière au sens de l’article 9 du RGPD : leur traitement est interdit, sauf exception prévue par ce même article, dont le consentement explicite de la personne.